Могу ли я «объединить» две группы, используя историю SID?

10

У меня есть две группы AD, которые были ошибочно созданы, хотя вместо этого должна была быть только одна группа; они содержат одинаковых пользователей. Однако этим группам были назначены различные разрешения для различных ресурсов (например, общих файловых ресурсов), и я не могу отследить их все и сбросить их, чтобы они ссылались только на одну группу.

Могу ли я «объединить» две группы, если удаляю одну из них и помещаю ее SID в историю SID другой? Позволит ли это членам оставшейся группы получить доступ к тем ресурсам, для которых были предоставлены разрешения удаленному?

Обновить:

Похоже, что нет простого способа добавить SID в историю SID пользователя или группы; по крайней мере, ADUC и ADSIEdit не могут сделать это. Если описанный выше трюк работает, как это можно сделать на самом деле?

active-directory access-control-list groups sid Massimo
источник
Я не верю, что вы можете сделать это ... но, тем не менее, вы можете рассмотреть возможность удаления членов из одной группы и просто вложения того, который содержит пользователей внутри другой. Я полагаю, это должно позволить вам поддерживать как ACL, так и функционировать нормально.
TheCleaner
1
Извините, хотел добавить ... что позволит вам обновить только тот, в котором еще остались участники, для добавления / удаления пользователей в этой группе. Возьмите группу, в которой нет участников, и переименуйте ее в нечто вроде «ЭТО НЕОБХОДИМО ПРОВЕРИТЬ» - тогда вы можете просто сделать заметку, что в любое время, когда вы когда-либо увидите это (или запускаете запрос ACL для нее), чтобы изменить ее на вложенную. вместо группы ... в конце концов, вы можете удалить саму группу верхнего уровня.
TheCleaner
Это уже наша ситуация, группы уже вложены. Но нам бы очень хотелось избавиться от одной бесполезной группы.
Массимо

Ответы:

3

Вы не можете изменить SIDHistoryатрибут, так как это защищенный атрибут.

Один из поддерживаемых методов - использование AD Migration Tool. Есть некоторые Powershell / сценарии, но все они требуют, чтобы группы находились в разных доменах / лесах.

Единственный способ, которым вы могли бы сделать это, как указано в TheCleaner. Вы бы хотели сделать группу, которую хотите использовать, для продвижения вперед (группа 1) членом «устаревшей» группы (группа 2), чтобы все члены группы 1 были членами группы 2. Затем вы удалили бы пользователей из группы 2. и просто добавьте новых пользователей в группу 1.

биты хоста
источник